Veri İşleme Sözleşmesi

1. Taraflar ve roller

Bu sözleşme, Vitrely hesabı açan işletme veya kişi (“Veri Sorumlusu”) ile EKSİK — şirket bilgisi girilecek (“Veri İşleyen” veya “Vitrely”) arasında, KVKK md.12 uyarınca akdedilmiştir.

Veri Sorumlusu'nun müşterilerine ait kişisel veriler bakımından veri sorumlusu Veri Sorumlusu'dur; Vitrely bu verileri yalnızca Veri Sorumlusu adına ve onun talimatlarıyla işleyen veri işleyendir.

2. Konu ve süre

Konu: Veri Sorumlusu'nun müşterilerinden mesajlaşma kanalları aracılığıyla gelen mesajların yapay zekâ yardımıyla yanıtlanması, randevu oluşturulması, konuşmaların Veri Sorumlusu'na devredilmesi hizmet sonrası değerlendirme isteği gönderilmesi ve Veri Sorumlusu'nun panele davet ettiği kullanıcıların hesaplarının yönetilmesi.

Otomatik mesajlar: Vitrely, Veri Sorumlusu adına ve talimatıyla, Veri Sorumlusu'na WhatsApp veya Instagram üzerinden yazmış müşterilere randevu hatırlatma ve değerlendirme isteği mesajları gönderir (işletme adına randevu hatırlatma ve değerlendirme isteği gönderimi). Bu mesajlar Veri Sorumlusu'nun panelden açıp kapatabildiği ayarlarla yönetilir; işletmeye hiç yazmamış kişilere otomatik mesaj gönderilmez müşteri “DUR” yazarak bu mesajları durdurabilir ve gönderim Meta'nın mesajlaşma kurallarına (24 saat penceresi, onaylı mesaj şablonları) tabidir.

Süre: Veri Sorumlusu'nun Vitrely hesabı açık kaldığı sürece geçerlidir; hesabın kapanmasıyla sona erer ve “Sözleşmenin sona ermesi” bölümü uygulanır.

3. İşlenen veri kategorileri ve ilgili kişiler

• İlgili kişiler: Veri Sorumlusu'nun müşterileri ve müşteri adayları; Veri Sorumlusu'nun panele davet ettiği çalışanları (panel kullanıcıları).
• Kimlik ve iletişim: ad veya kullanıcı adı, telefon numarası veya mesajlaşma kanalı tanımlayıcısı.
• Mesaj içeriği: müşterinin yazdığı ve asistanın gönderdiği mesajlar.
• Randevu bilgisi: tarih, saat, hizmet.
• Panel kullanıcısı verisi: davet edilen çalışanın e-posta adresi, şifresinin tek yönlü özeti, rolü, oturum ve işlem kayıtları. Çalışanlarını panele davet eden Veri Sorumlusu, onları bu işleme hakkında aydınlatmakla yükümlüdür.
• Bağlı kanal hesabı bilgisi: bağlanan WhatsApp numarası ve Instagram hesabının tanımlayıcıları.
• Özel nitelikli veri: hizmet gereği talep edilmez; ancak müşteriler kendiliğinden sağlık gibi bilgiler yazabilir (bkz. “Özel nitelikli veriler”).

4. Talimatla işleme

Vitrely, kişisel verileri yalnızca hizmeti sunmak ve Veri Sorumlusu'nun panel ayarları aracılığıyla verdiği talimatlar doğrultusunda işler; kendi amaçları için kullanmaz, satmaz ve yapay zekâ modeli eğitmek için kullanmaz. Bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusu'nu derhal bilgilendirir.

5. Gizlilik

Vitrely, kişisel verilere yalnızca hizmet için erişmesi gereken personelinin erişmesini sağlar ve bu kişilerin gizlilik yükümlülüğü altında olmasını temin eder. Gizlilik yükümlülüğü sözleşme sona erdikten sonra da devam eder.

6. Teknik ve idari güvenlik önlemleri

• Tüm veri iletimi HTTPS (TLS) ile şifrelenir.
• Her işletme yalnızca kendi verisine erişebilir; başka işletmenin verisine yönelik istekler reddedilir.
• Kullanıcı şifreleri tek yönlü özetlenerek (bcrypt) saklanır.
• Bağlı WhatsApp ve Instagram hesaplarının erişim anahtarları şifrelenerek saklanır, hiçbir kayıtta ya da ekranda gösterilmez ve bağlantı kaldırıldığında silinir.
• Yapay zekâ sağlayıcısına yalnızca mesaj metni gönderilir; müşteri telefon numarası gönderilmez ve sağlayıcı içeriği saklamaz.
• Veritabanı ayrı bir depolama alanına sürekli yedeklenir.
• Mesajlar, Veri Sorumlusu'nun belirlediği saklama süresi (varsayılan 12 ay) sonunda otomatik olarak silinir.

7. Alt işleyenler

Veri Sorumlusu, hizmetin sunulması için aşağıdaki alt işleyenlerin kullanılmasına genel yetki verir. Vitrely, yeni bir alt işleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce Veri Sorumlusu'nu e-posta ile bilgilendirir; Veri Sorumlusu bu süre içinde gerekçeli olarak itiraz edebilir ve itirazı giderilmezse sözleşmeyi ücretsiz feshedebilir. Vitrely, alt işleyenlere bu sözleşmedekilerle eşdeğer yükümlülükler yükler.

8. Yurt dışına aktarım

Yurt dışına aktarım, 6698 sayılı Kanun'un 9. maddesi uyarınca, Kişisel Verileri Koruma Kurulu'nca ilan edilen standart sözleşmeler ve Kanun'da öngörülen diğer uygun güvenceler aracılığıyla yapılır. Kişisel Verileri Koruma Kurulu henüz hiçbir ülke için yeterlilik kararı vermediğinden, aşağıdaki yurt dışı aktarımların tamamı bu güvencelere dayanır.

9. Veri ihlali bildirimi

Vitrely, Veri Sorumlusu'nun verilerini etkileyen bir kişisel veri ihlalini fark ettiğinde gecikmeksizin ve en geç 24 saat içinde Veri Sorumlusu'na bildirir. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan veya önerilen önlemleri içerir. Bu süre, Veri Sorumlusu'nun ihlali Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirebilmesi için belirlenmiştir.

10. Özel nitelikli veriler

Klinik gibi sağlık alanındaki işletmelerin müşteri mesajları sağlık bilgisi içerebilir; bu bilgiler KVKK md.6 uyarınca özel nitelikli kişisel veridir. Bu verilerin işlenmesinin hukuki dayanağını sağlamak ve müşterileri bu konuda aydınlatmak Veri Sorumlusu'nun sorumluluğundadır.

Vitrely, riski azaltmak için asistanın randevu için gerekmeyen sağlık bilgisi, kimlik numarası gibi hassas bilgi istememesini sağlar ve işletme türü sağlık olarak seçildiğinde panelde ayrıca uyarı gösterir.

11. Sözleşmenin sona ermesi

Sözleşme sona erdiğinde Vitrely, Veri Sorumlusu'nun müşteri verilerini en geç 30 gün içinde siler; Veri Sorumlusu bu süre içinde talep ederse veriler önce ona makine tarafından okunabilir bir biçimde (JSON) iade edilir. Kanunen saklanması zorunlu kayıtlar bu kapsamın dışındadır.

12. Bilgi ve denetim

Vitrely, bu sözleşmeye uyumu göstermek için makul bilgi ve belgeleri Veri Sorumlusu'na sağlar ve Kişisel Verileri Koruma Kurulu'nun taleplerine Veri Sorumlusu ile iş birliği içinde yanıt verir. Denetim talepleri EKSİK — şirket bilgisi girilecek adresine yazılı olarak iletilir.